YARA语法

本文介绍了YARA的基础知识,包括YARA的关键字如rule、strings和condition,详细阐述了YARA的语法,如注释、字符串定义和条件区域。此外,还提及了命令行参数的使用,当目标文件或进程符合规则时,YARA会输出相应的信息。
摘要由CSDN通过智能技术生成

YARA基础

YARA关键字

all in private and include
rule any index rva ascii
indexes section at int8 strings
condition int16 them contains int32
true entrypoint matches uint8 false
meta uint16 filesize nocase uint32
fullword not wide for or
global of

关键字解释:
rule:规则标识
strings:字符串区域
condition:条件区域

字符串末尾标注的关键字:
nocase:表示匹配大小写
wide:表示是宽字节
ascii:表示是ASCII码
fullword:表示匹配单个词组文本字符串

语法

//:单行注释
/**/:多行注释
$:字符串定义
#:表示字符串在文件或内存中出现的次数

condtion:
        #a == 1 or #b > 4 and #c < 6   //a出现1次或b大于四次且c小于6次

at:表示字符串在文件中的偏移量条件或虚拟地址的条件<

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值